Secondo Bloomberg e diverse altre agenzie di stampa, Crypto.com ha respinto la notizia secondo cui una violazione del 2023 avrebbe rivelato i dati degli utenti e sarebbe stata tenuta nascosta alle autorità.
La storia è incentrata su un gruppo di hacker noto come Scattered Spider e su un giovane sospettato che, secondo quanto riportato, avrebbe utilizzato tecniche di phishing e social engineering per accedere all'account di un dipendente. Crypto.com afferma che le affermazioni secondo cui l'incidente sarebbe stato nascosto sono "infondate".
Dichiarazione aziendale e autorità di regolamentazione
La dirigenza di Crypto.com ha dichiarato che l'incidente è stato segnalato alle autorità di regolamentazione all'epoca. Il CEO Kris Marszalek e i portavoce dell'azienda hanno dichiarato ai giornalisti che la violazione ha interessato un "numero molto limitato di individui", ha coinvolto informazioni personali identificabili (PII) limitate e non ha messo a rischio i fondi dei clienti.
Sulla base di quanto riportato, l'azienda afferma di aver informato le autorità di regolamentazione statunitensi e le autorità giurisdizionali competenti in merito alla questione nel 2023. La società ha definito disinformazione qualsiasi accenno a un tentativo di insabbiamento.
Voglio affrontare in modo diretto e chiaro alcune informazioni errate diffuse da fonti non informate… Qualsiasi suggerimento secondo cui non abbiamo segnalato o divulgato un incidente di sicurezza è completamente infondato, come abbiamo segnalato in un avviso di incidente sulla sicurezza dei dati depositato presso NMLS e in ulteriori…
— Kris | Crypto.com (@kris) 22 settembre 2025
Crypto.com: cosa hanno scoperto i giornalisti sull'attacco hacker
L'indagine di Bloomberg indica Scattered Spider e un presunto membro, il diciottenne Noah Urban, come elementi centrali dell'operazione. I rapporti affermano che gli aggressori hanno utilizzato tecniche di ingegneria sociale e phishing per indurre un dipendente a fornire l'accesso e che l'intrusione è avvenuta prima dell'inizio del 2023.
Diversi organi di stampa hanno ripreso il resoconto di Bloomberg, mentre alcuni articoli hanno aggiunto dettagli sulle passate campagne del gruppo contro importanti aziende. Crypto.com ha confermato una violazione limitata, ma ha contestato le affermazioni secondo cui l'azienda avrebbe intenzionalmente nascosto l'evento alle autorità di regolamentazione.
Critici e investigatori reagiscono
L'investigatore on-chain ZachXBT ha criticato pubblicamente Crypto.com dopo la segnalazione, sostenendo che l'exchange avrebbe dovuto rendere pubblico l'incidente e avvisare direttamente gli utenti interessati.
Brutte notizie: il tuo team ha insabbiato una violazione che ha avuto un impatto sulle informazioni personali dei tuoi utenti pic.twitter.com/1xqmJyqm5i
– ZachXBT (@zachxbt) 21 settembre 2025
Altri osservatori della sicurezza hanno affermato che il settore delle criptovalute necessita di standard più chiari su quando gli exchange debbano comunicare le violazioni al pubblico e quando debbano farlo alle autorità di regolamentazione. I report hanno rivelato tempistiche contrastanti su quando le autorità di regolamentazione sono state informate e quando i clienti interessati sono stati informati, lasciando diversi interrogativi irrisolti.
Sono stati violati più volte https://t.co/ptAHq1ZTOG
– ZachXBT (@zachxbt) 21 settembre 2025
Domande senza risposta e impatto immediato
Il numero di utenti interessati rimane sconosciuto e i campi dati esatti coinvolti (scansioni di passaporti, numeri di telefono o indirizzi e-mail) non sono stati specificati nei documenti pubblici.
Crypto.com sostiene che non sono stati prelevati fondi. Non sono stati resi pubblici rapporti forensi indipendenti o audit completi di terze parti che ne confermino la portata.
Questa mancanza di chiarezza ha spinto la comunità a chiedere maggiore trasparenza e una conferma formale da parte di esperti esterni.
Immagine in evidenza di Woden Valley Plumbing, grafico di TradingView